Filtrage IP : Comprendre les techniques courantes pour filtrer une adresse IP
Le filtrage IP est devenu une pratique courante à l'ère actuelle. Pour le meilleur ou pour le pire, il s'agit d'un processus fastidieux et qui présente diverses limites pour les entreprises qui utilisent cette technique comme solution principale pour déterminer chaque utilisateur et filtrer les comportements frauduleux.
Cependant, le processus de filtrage des adresses IP est approprié et efficace dans de multiples situations. Un exemple courant est que les services de streaming comme Netflix limitent l'accès des utilisateurs à des titres de contenu spécifiques en fonction de leurs adresses IP.
Cela signifie que si vous vivez aux États-Unis, vous ne pouvez pas accéder à Netflix Corée ou Netflix Japon en raison du filtrage IP. De même, regarder Netflix américain au Royaume-Uni, en Chine, au Canada, en Russie, etc. est tout aussi impossible.
De plus, les professionnels de l'informatique souhaitent parfois également bloquer un sous-ensemble spécifique du trafic en ligne vers leur site Web pour autoriser une certaine liste d'adresses IP uniquement ou en raison de la géolocalisation.
Bien que tout cela semble assez intéressant, nous aimerions vous en dire plus sur le filtrage IP. Ainsi, dans le guide, vous apprendrez ce que c'est, ses techniques courantes, ses règles et comment l'utiliser. Commençons!
Qu'est-ce que le filtrage IP ?
Le filtrage IP vous permet de contrôler le trafic IP autorisé à l'intérieur et à l'extérieur de votre réseau. Il vous permet de définir des règles, puis de filtrer les paquets IP en fonction de ces règles définies.
En d'autres termes, le filtrage IP est une procédure qui détermine les paquets IP qui seront traités et rejetés/supprimés. Vous pouvez appliquer plusieurs critères pour spécifier les données que vous souhaitez filtrer. Voici quelques exemples:
- Type de datagramme : requête d'écho ICMP, SYN/ACK, données, etc.
- Type de protocole : UDP, TCP, ICMP, etc.
- Adresse source et destination du datagramme : d' où il vient et où il va.
- Numéro de socket : (pour UDP/TCP)
Il est assez important de reconnaître que le filtrage des adresses IP est une fonctionnalité de la couche réseau. Il ne comprend rien à l'application utilisant les connexions réseau, mais les connexions elles-mêmes.
Techniques courantes de filtrage IP
Il existe trois types courants de techniques de filtrage IP. Découvrons-les ci-dessous :
1 Filtrage des routes :
Dans le filtrage des routes, certaines routes ne sont pas annoncées ou considérées pour inclusion dans la base de données locale. Les filtres peuvent être appliqués sur les routeurs, avant le filtrage de sortie ou après le filtrage d'entrée.
Il existe plusieurs raisons pour le filtrage des routes :
- Ce type de filtrage garantit que l'utilisation de RFC 1918 (espace d'adressage privé) ne s'infiltre pas dans l'Internet mondial. Ces deux préfixes nécessitent d'être bloqués en filtrage d'entrée et de sortie par le réseau.
- Annoncer des routes qui ne sont pas locales à un voisin lorsqu'un site Web est multirésident différent de celui dont il était connu revient à annoncer la disponibilité à servir pour le transit. On ne peut pas éviter cela en appliquant un filtrage de sortie sur des routes comme celles-ci.
- Un fournisseur de services Internet effectue généralement un filtrage d'entrée sur les itinéraires découverts par un consommateur pour le restreindre à l'adresse IP réellement attribuée à ce consommateur. De cette façon, le piratage d'adresse IP devient assez difficile.
Dans quelques cas, la quantité de mémoire principale dans les routeurs est insuffisante pour transporter l'intégralité de la table BGP globale. Grâce au filtrage d'entrée sur la longueur du préfixe, sur le nombre d'AS ou une combinaison des deux, la base de données de routes locales est confinée à un sous-ensemble de la table globale. Cependant, cette pratique n'est pas recommandée.
Les préfixes IPv4 sont également bloqués par certains réseaux détenus dans les registres Internet régionaux (RIR) et ne sont délégués à aucun réseau. Cette technique nécessite une mise à jour régulière du filtre du routeur. Mais, il est préférable de ne pas effectuer ce type de filtrage de routeur à moins que vous ne disposiez d'un outil fiable et automatisé pour vérifier les bases de données RIR.
2 Filtrage pare-feu :
Un pare-feu est un logiciel, un dispositif ou plusieurs dispositifs, développé pour refuser ou permettre la transmission d'accès au réseau sur la base d'un ensemble de règles pour sécuriser les réseaux contre les accès non autorisés tout en permettant le passage du trafic légitime. Divers routeurs transmettant des données entre les réseaux contiennent des composants d'un pare-feu et peuvent exécuter les fonctions de routage nécessaires.
Voici les principaux types de pare-feu :
- Pare-feu de la couche application : ce type de pare-feu fonctionne au niveau application de la pile IP/TCP. Il intercepte tous les paquets IP voyageant vers une application ou en provenance de celle-ci et empêche le trafic indésirable d'atteindre les machines/appareils protégés sans aucun accusé de réception de l'expéditeur. Les critères d'inspection ajoutent en outre une latence supplémentaire au transfert des paquets vers leur destination.
- Services proxy : ils s'exécutent sur des périphériques matériels dédiés ou sur des machines à usage général en tant que logiciels, répondant aux paquets d'entrée tout en bloquant les autres. Un système interne compromis, dans ce cas, n'entraînerait pas de faille de sécurité, cependant, des techniques telles que l'usurpation d'adresse IP pourraient transférer des paquets vers un autre réseau.
- Filtres de paquets ou pare-feu de couche réseau : lorsqu'il fonctionne sur la pile de protocoles TCP/IP, ce pare-feu n'autorise pas le passage des paquets à moins qu'ils ne correspondent aux règles définies par défaut ou par l'administrateur. De nos jours, les pare-feu peuvent filtrer le trafic en fonction des attributs des paquets tels que le port source, l'adresse IP source et de destination, etc. Ils peuvent également filtrer en fonction des valeurs TTL, des protocoles et du netblock de l'expéditeur.
- Traduction d'adresses réseau (NAT) : tel que défini par la RFC 1918, NAT permet de masquer les adresses IP des périphériques protégés en les numérotant avec les adresses présentes dans la plage d'adresses privées.
- Bac à sable ou filtrage du contrôle d'accès obligatoire (MAC) : il sécurise les services vulnérables en autorisant ou en refusant l'accès sur la base des adresses MAC d'appareils spécifiques qui sont autorisés à se connecter à un certain réseau.
3 Filtrage des e-mails :
Ce type de filtrage IP implique le traitement automatique et manuel des e-mails entrants, en les organisant selon des critères prédéfinis et en supprimant les virus et les spams. Ce filtre permet de n'envoyer que les messages propres à l'utilisateur dans sa boîte de réception.
Quelques-uns de ces filtres peuvent également modifier les messages, comme désactiver les liens malveillants avant que les utilisateurs ne cliquent dessus. Quelques organisations inspectent tous les courriers sortants pour vérifier si leurs employés se conforment aux exigences de la loi.
Les filtres de messagerie fonctionnent selon différentes méthodes, telles que la correspondance d'un mot-clé, d'une expression typique ou de l'identifiant de messagerie de l'expéditeur. D'autres solutions avancées utilisent des techniques de classification de documents basées sur des statistiques, la réputation IP et des algorithmes d'analyse des e-mails pour empêcher les messages d'atteindre les boîtes aux lettres sécurisées.
Ce type de filtrage peut poser problème lorsqu'une adresse IP sur liste noire est transférée vers un autre réseau. Le réseau peut avoir bloqué la réception du trafic de messagerie des adresses IP sur liste noire et nécessiterait de contacter divers responsables de la liste noire pour supprimer l'adresse.
Règles de filtrage de routage TCP/IP
Pour accéder à la fenêtre de l'éditeur de filtres de routage TCP/IP, cliquez sur la boîte de dialogue Filtrage TCP/IP principal > choisissez le bouton des filtres de routeur. Les règles de filtrage des routes sont appliquées globalement dans l'appareil sans être associées à aucune interface. Mais, ils peuvent être limités à une interface en utilisant les modificateurs vers et depuis dans la règle.
Étant donné que les règles sont spécifiées avant l'application, un appareil ne réorganise pas les ensembles de règles. Ils sont appliqués dans l'ordre dans lequel ils sont écrits. À l'aide du gestionnaire VPN 5000, lorsque divers ensembles de filtres sont choisis, ils seront concaténés du premier au dernier dans l'appareil.
Un réseau ne serait pas inclus dans la table de routage en entrée ou en sortie s'il n'est pas explicitement autorisé par les règles. Pour autoriser tous les autres numéros de réseau à ne pas être filtrés, la règle finale doit être: permit 0.0.0.0.
Comme les routes statiques et directes ne sont pas reçues via une interface et sont configurées dans l'appareil, elles sont toujours installées et ne peuvent pas être filtrées.
Les règles précédemment spécifiées à l'aide du gestionnaire peuvent être examinées ou modifiées via une interface de ligne de commande. Les règles téléchargées depuis le Manager sont cryptées.
Un ensemble de règles créé à l'aide de la fenêtre de l'éditeur du filtre de routage TCP/IP peut être appliqué via les menus déroulants de la boîte de dialogue.
Syntaxe et règles de base du filtre de routage IP
Chaque ligne de commentaire et chaque adresse IP doivent inclure au moins une action dans le jeu de filtres. Ces composants spécifient ensemble la règle de filtrage que la machine/le périphérique suit ultérieurement pour envoyer et recevoir des paquets de routage réseau.
Les lignes du filtre du routeur doivent commencer par des actions d'autorisation/de refus et un indicateur de commentaire : #
- Les lignes commençant par permit spécifient que les informations provenant des paquets de routage remplissant toutes les conditions doivent faire partie de la table de routage IP.
- Les lignes commençant par deny spécifient que les informations des paquets remplissant toutes les conditions ne doivent pas faire partie de la table de routage IP.
- Les lignes commençant par # spécifient que le texte présent sur la ligne est en fait un commentaire et doit être ignoré.
Chaque ligne commençant par permit ou deny doit être suivie d'une adresse IP. Cette adresse peut être spécifiée de différentes manières.
- Les adresses peuvent être indiquées en notation décimale pointée. Si les composants les plus à droite sont 0, ils sont traités comme des caractères génériques.
- Un format factorisé peut également être utilisé lorsque des ensembles de composants sont remplacés par des adresses IP. Ces adresses IP sont au format #.#.#.{#,#,…}. Les ensembles de facteurs doivent se trouver à la fin de l'adresse. Tout composant présent après la position du jeu de facteurs est supposé égal à 0.
- Les nombres hexadécimaux peuvent également être utilisés pour spécifier une adresse IP.
Les adresses peuvent avoir un champ facultatif de /bits à la fin. Indique le nombre de bits, en commençant par le plus important, qui sera pris en compte par l'instrument/dispositif lorsque l'adresse est comparée à la règle de filtrage dans un paquet de routage.
Options de règle de filtrage de routage IP
Les directions sont généralement spécifiées soit par les deux, soit par entrée et sortie. Si une direction n'est pas spécifiée, l'hypothèse est les deux.
-
Les règles de filtrage de routage signifiant dans sont appliquées au routage des paquets entrant uniquement dans le périphérique.
-
Les règles de filtrage de routage signifiant out sont appliquées aux paquets de routage uniquement envoyés à partir de l'appareil.
-
Les règles de filtrage de routage indiquant les deux sont appliquées au routage des paquets dans les deux sens.
Quand et comment utiliser le filtrage GeoIP
Si vous possédez une entreprise aux États-Unis et que vous n'avez aucune raison d'accepter les communications en ligne d'autres pays du monde, le filtrage géoIP à l'échelle nationale est logique. Mais, si vous traitez avec des clients à l'étranger, vous devez alors réfléchir judicieusement aux personnes que vous devez bloquer.
Même si la transaction client n'est pas le cas, vous utilisez peut-être un service en ligne ou un logiciel hébergé en dehors des États-Unis, tel qu'un hébergement Web ou une messagerie Web. Donc, vous devrez également les autoriser à traverser votre pare-feu.
Cependant, il peut y avoir de nombreux pays pour lesquels vous n'avez aucune raison réelle d'accepter des connexions. Grâce au filtrage géoIP, vous pouvez facilement bloquer les pays ayant des antécédents de trafic Internet malveillant à l'origine. Couper les adresses IP des nations semble efficace et sans tracas, mais modifier vos paramètres géoIP est une option plus intelligente.
Vous pouvez uniquement bloquer l'adresse IP ou une liste d'adresses IP connues pour être malveillantes. Mais, si vous continuez et bloquez un pays entier, vous pouvez faire quelques exceptions et créer des règles dans votre pare-feu qui permettent aux adresses IP de la liste blanche de traverser votre système.
Ce type d'ajustement peut être très utile si votre personnel se rend à l'étranger à des fins professionnelles. Vous pouvez également débloquer temporairement le pays qu'ils visitent ou ajouter leurs adresses IP à la liste blanche.
FAQ – Filtrage IP
Le filtrage IP est mieux que de ne rien avoir. Cependant, il présente deux problèmes : les adresses IP peuvent être usurpées. Dans le cas où un instrument/machine interne est compromis, l'acteur malveillant peut l'utiliser comme proxy ou hôte de saut pour attaquer votre système.
IPFilter ou ipf est un progiciel open source qui offre des services NAT et de pare-feu pour plusieurs systèmes d'exploitation comme Unix. Darren Reed est le responsable du logiciel et l'auteur. IPFilter est un pare-feu avec état prenant en charge les protocoles IPv4 et IPv6.
La webopedia internet.com définit le filtrage de paquets comme l'examen des paquets IP entrants et sortants pour contrôler l'accès à un réseau, en les arrêtant ou en les laissant passer en fonction de l'adresse IP source ou de destination.
Conclusion
Ceci termine notre guide qui vous a informé de toutes les bases que vous devez savoir sur le filtrage IP. Bien qu'il puisse comporter quelques pièges, le filtrage des adresses IP est vraiment très utile à l'ère actuelle.
Il bloque les connexions et vous protège des acteurs et des liens malveillants grâce à ses multiples types et techniques de filtrage. Il empêche également les adresses IP sur liste noire d'entrer dans votre réseau et de vous causer des dommages.
Cependant, nous devons réitérer qu'en matière de filtrage géoIP, il est toujours préférable de modifier les paramètres de votre filtre au lieu de bloquer toutes les connexions depuis l'étranger.
Nous espérons que vous avez aimé notre guide de filtrage IP. N'hésitez pas à commenter en cas de questions.